9. Защита информации в сетях

9.1 Межсетевые экраны.

Важнейшую проблему, решаемую сегодня разработчиками корпоративных сетей, можно сформулировать в виде вопроса: «Защита в Internet или от Internet?» В рамках построения защищенной корпоративной сети ответ на данный вопрос обуславливает выбор одной из двух концепций:

• построение защищенной корпоративной (виртуальной или наложенной) сети на базе каналов связи и средств коммутации сетей передачи данных общего пользования, в которой применяются открытые протоколы Internet, что предполагает проектирование и воплощение надежной системы защиты;

• отказ от средств Internet как таковых, создание специализированной или выделенной сети корпорации с использованием конкретной сетевой технологии, в частности АТМ, frame relay, ISDN.

Эти концепции являются полярными взглядами на проблему и, как следствие, обладают определенными недостатками. Первый подход связан с большими затратами на обеспечение достаточной степени защищенности информации при подключении к Internet. Второй предлагает отказаться от использования Сети, причем не только от существующих в ней каналов связи, узлов коммутации и предоставляемых сервисов, но и от реализуемых в Internet технологий, убедительно доказавших свою жизнеспособность. Очевидно, что оптимальное решение задачи защиты информации в сетевом пространстве Internet представляет собой некий компромисс между данными подходами. Однако мы остановимся на первой концепции. Безопасность при подключении к Internet обеспечивается в том числе и с помощью межсетевых средств защиты, принципы работы которых будут далее изложены.

Межсетевые средства защиты можно разделить на открытые и корпоративные. Первые — это межсетевые экраны (МЭ), функционирующие на основе открытых протоколов Internet и предназначенные для подключения к сети корпорации открытых серверов Internet. Корпоративные МЭ позволяют организовать в корпоративной сети защищенное взаимодействие клиент—сервер с закрытыми серверами корпорации, в том числе по виртуальным каналам сетей общего пользования.

Корпоративные межсетевые средства защиты делятся на внутренние и внешние. При этом внешние МЭ (они работают на виртуальном канале парами — входной и выходной) решают задачу разграничения прав доступа к виртуальному каналу связи и согласования параметров его защищенности при взаимодействии клиент—сервер, а внутренние обеспечивают разграничение прав доступа к ресурсам информационного сервера

МЭ могут выполнять над поступающими пакетами данных одну из трёх операций: пропустить пакет далее (allow), отбросить пакет (deny) при этом отправитель не информируется о недоступности сервиса, reject при которой пакет отбрасывается, но отправителю сообщается по протоколу ICMP о недоступности сервиса на компьютере-получателе информации. МЭ выполняют следующий основные функции:

• ограничивает доступ во внутреннюю сеть со стороны общедоступной сети за счет применения фильтров и средств аутентификации, чтобы злоумышленники не могли получить несанкционированный доступ к информации или нарушить нормальную работу сетевой инфраструктуры;

• контролирует и регулирует доступ пользователей внутренней сети к ресурсам общедоступной сети, когда те представляют угрозу безопасности;

• внутри корпоративных сетей ограничивает доступа пользователей к особо важным ресурсам сети, например к серверам, содержащим финансовую информацию или сведения, относящиеся к коммерческой тайне как персональный межсетевой экран установленный на отдельный компьютер регулирует к нему доступ.

Согласно «Руководящему документу. Межсетевые экраны» Гостехкомиссии при Президенте РФ «межсетевым экраном называется локальное (однокомпонентное) или функционально-распределенное средство (комплекс), которое реализует контроль за информацией, поступающей в автоматизированную систему и/или выходящей из нее, и обеспечивает защиту автоматизированной системы посредством фильтрации информации, т. е. анализа по совокупности критериев и принятия решения об ее распространении в (из) автоматизированной системе».

Поддерживаемый уровень сетевой модели OSI является основной характеристикой при классификации межсетевых экранов. Поэтому рассмотрим их классификацию в соответствии с уровнем эталонной модели взаимодействия открытых систем (сетевой моделью) OSI. Отметим, что такая классификация, в силу ряда обстоятельств носит достаточно условный характер. Тем не менее различают следующие типы межсетевых экранов:

• управляемые коммутаторы (канальный уровень); сетевые фильтры (сетевой уровень);

• шлюзы сеансового уровня (circuit-level proxy);

• посредники прикладного уровня;

• инспекторы состояния (stateful inspection), представляющие собой межсетевые экраны сеансового уровня с расширенными возможностями.

Существует также понятие «межсетевой экран экспертного уровня». Такие МЭ обычно базируются на посредниках прикладного уровня или инспекторах состояния, но обязательно комплектуются шлюзами сеансового уровня и сетевыми фильтрами. К МЭ экспертного класса относятся почти все имеющиеся на рынке коммерческие брандмауэры.